Plus d'un demi-milliard de terminaux Android vulnérables à une faille dans le noyau Linux










Un bug dans la gestion des clés et des certificats de sécurité permet à une application d’exécuter du code arbitraire. Un patch est disponible, mais il mettra du temps à arriver sur les différentes versions d’Android.

Mauvaise nouvelle pour les utilisateurs Android. Des chercheurs en sécurité de la société Perception Point ont découvert une faille 0day dans le noyau de Linux permettant à une application d’obtenir les privilèges administrateur sur la machine, donc d’exécuter du code arbitraire. Cette vulnérabilité (CVE-2016-0728) existe depuis 2012 et impacte les systèmes disposant d’un noyau Linux de version 3.18 ou supérieur.


Selon Perception Point, cela représente non seulement « des dizaines de millions » d’ordinateurs et de serveurs sous Linux, mais également « 66 % de tous les terminaux Android », soit largement plus d’un demi-milliard d’appareils ! Pour les premiers, la situation n’est pas catastrophique, car un patch est en train d’être diffusé au travers des principales distributions. Il est d’ores et déjà disponible pour Ubuntu, Debian et Red Hat. Les utilisateurs et les administrateurs sont invités à mettre à jour leur système dès que possible.


Ne pas installer des applis à la légère

Pour les terminaux Android, en revanche, c’est une autre paire de manches car l’utilisateur n’a pas forcément la main : les mises à jour sont généralement poussées par les opérateurs et les différents fabricants, ce qui prend plus de temps. Il faudra donc prendre son mal en patience. La bonne nouvelle, c’est que l’exploitation de cette faille nécessite d’avoir déjà un premier accès au système, soit physiquement, soit au travers d’une application que l’utilisateur aura installée. Il faut donc bien veiller à ne télécharger que des logiciels dignes de confiance.


Concrètement, la faille repose sur un bug dans la gestion des clés et des certificats de sécurité. Perception Point en fait une description détaillée, mais très technique, dans sa note de blog. Un exemple de code d’exploitation est disponible sur GitHub. A noter que la corruption du système n’est pas immédiate. Sur un ordinateur avec processeur Intel Core i7-5500, l’exploit a mis environ une trentaine de minutes pour obtenir l’accès root.